事件：加拿大 E190 和加拿大 B773 于 2020 年 3 月 7 日在多伦多，两架飞机同时在同一跑道上加速，两架飞机均

拒绝起飞

Simon Hradecky，创建于 2020 年 3 月 18 日星期三 21:43Z，最后更新于 2022 年 6 月 16 日星期四 22:22Z

一架注册号为 C-FMZW 的加拿大航空工业公司 ERJ-190 执行 AC-1037 航班，从安大略省多伦多飞往美国丹佛，

机上有 87 人，根据目视起飞程序，该飞机已获准从多伦多 06L 跑道起飞。

当 E190 开始起飞时，Tower 立即批准了加拿大航空公司的波音 777-300，注册号为 C-FJZS，执行从安大略省

多伦多飞往加拿大哈利法克斯的 AC-606 航班，机上有 359 人，滑行到位并在 06L 跑道上停留。

当 E190 仍处于起飞状态时，塔台批准波音 777-300 起飞。

不久之后，E190 遭到鸟击，机组人员决定在 135 KIAS 时拒绝起飞。机组人员用无线电通知塔台，他们拒绝起飞

的同时，B773 确认了他们的起飞许可并开始起飞。

当 B773 加速通过 110 KIAS 时，他们注意到 E190 仍在跑道上，拒绝起飞，并设法停在 E190 之外。

两架飞机都撤离了跑道，E190 返回了停机坪。这架波音 777-300 在滑行道上等待了 45 分钟以冷却刹车，然后返

回停机坪。

加拿大 TSB 报告称，两架飞机均无人员受伤和损坏。由于存在碰撞风险，TSB 对该事件展开了三级调查。

2022 年 6 月，TSB 发布了最终报告，得出了事件发生的可能原因：

关于原因和促成因素的调查结果

-为了实现快速的交通流，管制员根据 NAV CANADA 的《空中交通服务手册》使用飞行员应用的目视离港分离程

序。在这种情况下，在飞行员应用的目视离港分离程序下进行的操作被优化到无法保证分离的程度。

-考虑到巴西航空工业公司 190 的速度和在跑道上的位置，管制员预计不会出现高速拒绝起飞的情况。他评估说，

这架飞机正在空中飞行，不再需要他的注意和监视。因此，尽管巴西航空工业公司 190 仍在跑道上，他还是向波
音 777 飞机发出了起飞许可。

-巴西航空工业公司 190 飞机在起飞滚转过程中的一个关键点撞上了一只鸟，并进行了拒绝起飞，就在这架波音

777 飞机获得起飞许可并开始自己的起飞滚转之前。

-巴西航空工业公司 190 的大副打了一个无线电电话报告拒绝起飞，但管制员或波音 777 机组人员没有发现这个

电话，因为它与波音 777 的大副读取起飞许可的无线电电话重叠。因此，管制员和波音 777 机组人员都不知道巴
西航空工业公司 190 拒绝起飞。

-由于管制员希望巴西航空工业公司 190 能够不间断地起飞，他将注意力和优先事项转移到了其他飞机的移动上。

专注于这些任务，再加上从北塔位置操作，减少了管制员检测巴西航空工业公司 190 拒绝起飞的机会，并推迟了
对冲突的反应。

-波音 777 机组人员目视看到了巴西航空工业公司 190，相信它很快就会升空，没有明显的碰撞风险；然而，他们

并没有意识到它正在进行一次被拒绝的起飞和减速。按照授权进行，波音 777 机组人员在巴西航空工业公司 190
仍在跑道上时开始了起飞滚转，这导致了跑道入侵和碰撞风险。
-巴西航空工业公司 190 的应答器在飞机加速超过 50 节后发送了飞机在空中的信息。因此，尽管符合现行标准，
但当飞机在起飞滚转过程中保持在地面并拒绝起飞时，不准确的空中状态被传输了大约 52 秒。

-跑道入侵监测和冲突警报子系统（RIMCAS）依赖于飞机系统的数据，该系统旨在为机载监视系统提供飞机飞行
状态数据。RIMCAS 使用这些数据导致巴西航空工业公司 190 和波音 777 在空中的识别不准确，而这两架飞机仍
在地面上。这导致 RIMCAS 警报延迟且不准确，并延迟了对碰撞风险的响应。

-当加速的波音 777 以 133 节的空速飞行，距离减速的巴西航空工业公司 190 约 5000 英尺时，发生了碰撞风险。

波音 777 机组人员在意识到巴西航空工业公司 190 仍在前方跑道上后拒绝起飞，风险得到了缓解。

风险调查结果

-如果跑道入侵监测和冲突警报子系统（RIMCAS）内确定飞行状态的逻辑延迟数秒，则冲突检测的延迟会增加
RIMCAS 警报无效的风险。

TSB 分析：

事件发生时，管制员计划使用飞行员在巴西航空工业公司 190 后面应用的目视离港分离来协调波音 777 的离港。

根据 NAV CANADA 的 MATS，他使用了快速的流程或节奏，以尽可能快。他经验丰富，对交通水平感到满意，并
能有效地管理工作量。管制员很快（在短短几秒钟内）评估了这种情况，这是一种正常的做法。管制员根据其过
去的经验、知识和对巴西航空工业公司 190 和波音 777 性能的看法进行了评估，包括：

-感知巴西航空工业公司 190 处于或接近其旋转速度的速度；

-感知巴西航空工业公司 190 处于或超过典型旋转点的位置；

-确定波音 777 飞机起飞许可的时间；和

-预计当波音 777 机组人员读取起飞许可并开始起飞滚动时，巴西航空工业公司 190 将在空中飞行。

管制员对巴西航空工业公司 190 将在管制员评估的位置和时间起飞的期望非常高。他知道：

-高速拒绝起飞的情况很少见；

-飞机在轮换后不进行拒绝起飞；和

-在他的职业生涯中，他从未见过以如此高的速度或从跑道上的那一点起飞时被拒绝。

有了这一认识，巴西航空工业公司 190 飞机起飞的监测阶段和行动确认实际上已经完成。因此，尽管他实际上没

有看到巴西航空工业公司 190 的轮换，但管制员还是转换到了其他职责。他得出结论，巴西航空工业公司 190 是
“旋转”的所有线索表明他的评估是正确的。

管制员决定向波音 777 飞机发放起飞许可的时间是巴西航空工业公司 190 飞机预计升空前几秒。管制员的情况评

估与他的心理模型相匹配，直到鸟撞和 USiT。这一决定也受到 MATS 中的指导和程序以及管制员丰富经验的影响。

在这种情况下，管制员需要外部线索来告诉他事情并不像他所评估的那样。他没有听到巴西航空工业公司 190 的
任何无线电呼叫，也没有收到任何 RIMCAS 警报；因此，控制者没有收到任何矛盾的提示（听觉或视觉）来挑战
他的心理模型或他的期望，或改变他的评估或行动。这两项防御失败了。

因此，管制员的心理模型和预期是飞机正在旋转，这意味着飞机基本上被认为已经离开，不再需要他的关注和监
控。管制员将这种情况评估为典型和熟悉的情况，并确定了可能成功的行动方案，这使他能够迅速着手执行其他
紧迫的任务和决策。这一决策符合自然主义决策，也符合专家在动态环境和时间压力下快速及时做出决策的方式。
管制员安排了波音 777 飞机起飞许可的交付时间和预期读回时间，以便飞机在 Emb 之后立即开始起飞滚转

raer 190 在空中飞行，满足了 MATS 的程序要求。

查明原因和促成因素

考虑到巴西航空工业公司 190 的速度和在跑道上的位置，管制员预计不会出现高速拒绝起飞的情况。他评估说，

这架飞机正在空中飞行，不再需要他的注意和监视。因此，尽管巴西航空工业公司 190 仍在跑道上，他还是向波
音 777 飞机发出了起飞许可。

鸟击和巴西航空工业公司 190 拒绝起飞

当巴西航空工业公司 190 飞机的起飞滚转撞上一只鸟时，管制员正在向这架波音 777 飞机发出起飞许可。巴西航

空工业公司 190 当时的飞行速度为 139 节指示空速（KIAS），略低于 V1 计算的 146 节指示空速。根据公司程序，
巴西航空工业公司 190 的机长启动了一次被拒绝的起飞，大副发送了一个无线电呼叫。整个事件序列用了 5 秒钟。

查明原因和促成因素

巴西航空工业公司 190 飞机在起飞滚转过程中的一个关键点撞上了一只鸟，并进行了拒绝起飞，就在这架波音

777 飞机获得起飞许可并开始自己的起飞滚转之前。

未检测到同时传输

同时传输是航空中常见的危险。它们构成了威胁，当这些传输信号未被发现时，重要通信被忽视的风险就会增加。

巴西航空工业公司 190 和波音 777 的无线电传输分别在管制员结束波音 777 起飞许可的无线电传输后 0.1 秒内和

0.6 秒内和 0.7 秒内启动：

-9 时 48 分 34 秒，巴西航空工业公司 190 型飞机的大副发出了拒绝起飞的无线电呼叫。此传输持续了 3.13 秒。

-9 时 48 分 35 秒，这架波音 777 飞机的副驾驶开始重新读取起飞许可。此传输持续 3.225 秒。

这些无线电呼叫的定时表明无线电信号完全重叠。由于这次 USiT，波音 777 的管制员和机组人员都没有意识到这

场冲突，因为他们不知道巴西航空工业公司 190 正在进行一次被拒绝的起飞。

查明原因和促成因素

巴西航空工业公司 190 的大副打了一个无线电电话报告拒绝起飞，但管制员或波音 777 机组人员没有发现这个电

话，因为它与波音 777 的大副读取起飞许可的无线电电话重叠。因此，管制员和波音 777 机组人员都不知道巴西
航空工业公司 190 拒绝起飞。

检测巴西航空工业公司 190 的拒绝起飞

在这种情况下，USiT 意味着没有可用的听觉提示来提醒管制员或波音 777 机组人员拒绝起飞。在不知道巴西航空

工业公司 190 的无线电呼叫拒绝起飞的情况下，管制员继续他的职责。

一旦巴西航空工业公司 190 航班机组人员开始拒绝起飞，管制员就可以获得一些视觉提示：

-可以看到巴西航空工业公司 190 在跑道上减速；和

-可以看到控制器工作位置（CWP）上的巴西航空工业公司 190 的轨道标签上的速度值在下降。

由于管制员在北塔控制位置工作，他必须进行目视扫描，以监控 05 跑道和 06L 跑道的入口、06L 跑道起飞端以及

CWP 的监视器。为了面对 05 跑道和 CWP 或 06L 跑道，他需要转弯 180°，而且已经转弯好几次了。这使得目视监
视从 06L 跑道起飞的飞机变得更加困难，因为当他从塔台驾驶室和 06L 跑道的窗户向外看时，存在视觉障碍。

此外，当管制员意识到巴西航空工业公司 190 即将升空，并且没有想到它会在那一点上执行被拒绝的起飞时，他

得出结论，这不再需要他的关注和监控。然后，他改变了身体和视觉扫描，开始专注于听取波音 777 的净空读数，
监控一架降落在 05 跑道上的飞机，指示一架飞机在 06L 跑道上排队，然后低头看他的 CWP。由于管制员已经将注
意力转移到了抵达 05 跑道的飞机上，他的背部很可能被转向别处，他不再看 06L 跑道的起飞端，因此，巴西航空
工业公司 190 不再在他的视野中。

至于 CWP 的监视器，轨道标签很小，轨道标签上飞机速度、高度或飞行状态的变化可能会被站着并专注于向外看
以控制飞机运动的管制员忽视。在这种情况下，一旦巴西航空工业公司 190 拒绝起飞，管制员就没有注意到速度
有任何变化。

最后，RIMCAS 没有配置为帮助管制员检测拒绝起飞后发生的冲突，也没有及时生成警报（视觉或听觉）。

查明原因和促成因素

由于管制员希望巴西航空工业公司 190 能够不间断地起飞，他将注意力和优先事项转移到了其他飞机的移动上。

专注于这些任务，再加上从北塔位置操作，减少了管制员检测巴西航空工业公司 190 拒绝起飞的机会，并推迟了
对冲突的反应。

在波音 777 机组人员读回起飞许可后，他们开始了起飞滚转。当时，他们没有意识到鸟撞或巴西航空工业公司

190 拒绝起飞，也没有看到明显的碰撞风险。他们可以在跑道上看到巴西航空工业公司的 190，但考虑到他们已
经获得起飞许可，他们没有理由指望它不会在空中飞行。此外，由于他们没有听到巴西航空工业公司 190 的大副
发出的无线电呼叫，因此没有听觉提示来提醒波音 777 机组人员巴西航空工业 190 被拒绝起飞。

查明原因和促成因素

波音 777 机组人员目视看到了巴西航空工业公司 190，相信它很快就会升空，没有明显的碰撞风险；然而，他们

并没有意识到它正在进行一次被拒绝的起飞和减速。按照授权进行，波音 777 机组人员在巴西航空工业公司 190
仍在跑道上时开始了起飞滚转，这导致了跑道入侵和碰撞风险。

空中/地面飞行状态

在这起事件中，有 3 架飞机同时在跑道上：巴西航空工业公司 190、波音 777 和一架正在就位等待起飞的德哈维

兰 DHC-8。

巴西航空工业公司 190 和波音 777 都启动了各自被拒绝的起飞程序后，才产生了先进的地面运动制导和控制系统

（A-SMGCS）警报。调查调查了为什么在事件发生顺序中，第一阶段警报-离开和第二阶段警报-出发都没有提前
生成。以下各节将讨论导致此次事件中观察到的空中/地面飞行状态的系统逻辑。

霍尼韦尔 Primus Epic 监视器警告功能

调查确定，霍尼韦尔 XS-857A S 模式应答器的系统逻辑符合 Air Tra 的最低操作性能标准

Office Control Radar Beacon System/Mode Select（ATCRBS/Mode S）机载设备（DO-181
MOPS）制导，并按照设计使用从霍尼韦尔 Primus Epic 的 MWF 接收的空中/地面状态。尽管 MWF 系统使用了来
自车轮重量传感器的输入，但对数据来源的检查发现，空中/地面状态的起源是 MWF 中的逻辑，因为验证检查使用
了 50 节的速度。

霍尼韦尔 Primus Epic 航空电子套件中的系统逻辑使 XS-857A S 模式应答器在指示空速大于 50 节时发送空中

状态，即使飞机仍在地面上。尽管调查无法确定 MWF 设置为 50 节的原因，但 50 节的阈值符合适用的标准和技术
标准命令，是根据设计要求设置的，在 21 世纪初的设计和认证过程中没有给操作带来任何问题。DO-181 MOPS
引用 100 节作为覆盖地面故障状态的验证检查，并接受任何低于 100 节（包括 50 节）的值为有效值。

与霍尼韦尔和巴西航空工业公司的讨论表明，在巴西航空工业 190 的设计和认证过程中选择了 50 节的值。它很可

能被选为一个保守的速度值，以确保在飞行前，当飞机在起飞滚转上加速时，应答器与机载监视系统（如机载防
撞系统[ACAS]）的及时互操作性。当时（21 世纪初），DO-181 MOPS 早于 A-SMGCS 和 RIMCAS 等系统。DO-
181 MOPS、适用技术标准订单、飞机和应答器制造商或其他利益相关者未考虑将应答器的空中状态功能用于地面
监视系统。虽然该速度值符合适用的标准和技术标准指令，是确保应答器在飞行前与机载监视系统及时互操作的
有效手段，但它为需要准确确定飞机地面状态的地面监视系统提供了不准确的信息。

巴西航空工业公司 190 和波音 777 飞机上的转发器按设计运行，并在飞机起飞时加速超过速度阈值后切换到空中

状态，同时仍在地面上，使 ACAS 可以看到飞机。这与系统的初衷是一致的。

加拿大交通部已确认，该阈值的选择各不相同，通常由飞机制造商选择。巴西航空工业公司 190 的应答器系统逻

辑中发现的 50 节超驰阈值的选择对于大型运输类飞机来说可能异常低，但其他飞机也可能具有低于 100 节的不同
超驰阈值。

查明原因和促成因素

巴西航空工业公司 190 的应答器在飞机加速超过 50 节后发送了飞机在空中的信息。因此，尽管符合现行标准，但

当飞机在起飞滚转过程中保持在地面并拒绝起飞时，不准确的空中状态被传输了大约 52 秒。

跑道入侵监控和冲突警报子系统警报逻辑

RIMCAS 旨在监控飞机和车辆，识别并提醒空中交通管制员注意可能的冲突情况。在这次事件中，它按设计发挥了
作用；然而，由于应答机发送的状态不准确，RIMCAS 没有立即检测到起飞冲突，因此，直到两架飞机都进行了被
拒绝的起飞后，管制员才收到警报。

为了提供及时准确的警报，RIMCAS 必须正确识别目标的状态。如果一个目标被识别为在空中，那么它将从用于检
测出发冲突的目标中省略。因此，如果 RIMCAS 接收或使用不准确的空中/地面状态，它可能无法识别关键时刻在
地面的车辆或飞机。

在这起事件中，9 时 48 分 30 秒，即巴西航空工业公司 190 以 50 节的地面速度加速 3 秒后，a-SMGCS 多传感器

跟踪器（MST）根据其地面比特集（GBS）值接受了飞机的状态，并错误地将巴西航空工业公司 190 识别为在空中。
因此，RIMCAS 逻辑从出发冲突检测逻辑中省略了雷达目标。42 秒后，当这架波音 777 飞机在跑道上加速时，应
该符合第二阶段警报的标准——起飞；然而，由于巴西航空工业公司 190 仍被确认在空中，RIMCAS 没有发现离
港冲突。这架波音 777 飞机在 12.5 秒后开始了被拒绝的起飞。

当巴西航空工业公司 190 和波音 777 都符合地面识别标准时，RIMCAS 于 0949:43 发出了关于这 2 架飞机的警报。

调查确定，RIMCAS 依赖 GBS 值进行自动冲突检测和警报，尽管数据的准确性存在局限性。然而，调查无法确定

RIMCAS 默认值背后的理由，以及如果参数被修改和起飞时空中状态的设置被推迟，影响的全面程度。
RIMCAS 可以配置为克服这些限制，但这样做可能会导致错误警报，这可能会降低控制器对子系统的信心。

DO-181 MOPS 建议从地面到空中的过渡点速度为 100 节，这有利于确保飞机的应答器在进入空中之前与机载监

视系统的及时互操作性。然而，使用速度值的数据输入（如 S 模式回复消息、MWF 值或 GBS 值）可能会为地面监
视系统或自动跑道入侵监测系统（如 RIMCAS）提供不准确的数据。

这项调查主要集中在巴西航空工业公司 190 和 RIMCAS 的空中状态中发现的不准确之处。尽管巴西航空工业公司

190 仍在地面上，但它仍在空中飞行了约 52 秒。模拟和飞行数据检查表明，即使采用了 DO-181 MOPS 建议的
100 节空速，巴西航空工业公司 190 也会被识别为在空中飞行约 19 秒。

然而，同样重要的是，波音 777 的空中/地面状态也不准确。这架波音 777 飞机在起飞滚转过程中加速超过 100

节后，于 0949:20 转换为空中状态，并保持了大约 23 秒，尽管飞机仍在地面上。尽管调查没有检查波音 777 的
航空电子系统或应答器，但它确实确定，如果使用 100 节作为标准建议速度（符合 DO-181 MOPS），并且飞机
正在加速超过该速度但仍在地面上，这些系统将不准确地识别飞机在空中。

在这种情况下，地面监视系统和自动跑道入侵监测系统，如 RIMCAS，依赖于从飞机转发器接收的 GBS 值的准确

性。然而，RIMCAS 可以利用其他可用数据来确定飞机是在地面上还是在空中。正如这次事件所表明的那样，飞机
或应答器的地面状态功能数据是不准确的——这表明飞机何时在地面。根据这些不准确的信息，RIMCAS 确定巴西
航空工业公司 190 在跑道上飞行了一段时间。同样的 RIMCAS 行为导致管制员显示波音 777 在空中飞行了 23 秒，
尽管在整个飞行过程中它也一直保持在跑道上。如果有更准确的飞机状态数据，这些系统将能够更好地确定飞机
的地面状态，并提供准确及时的警报。

查明原因和促成因素

RIMCAS 依赖于飞机系统的数据，该系统旨在为机载监视系统提供飞机飞行状态数据。RIMCAS 使用这些数据导致

巴西航空工业公司 190 和波音 777 在空中的识别不准确，而这两架飞机仍在地面上。这导致 RIMCAS 警报延迟且
不准确，并延迟了对碰撞风险的响应。

除了上述不准确之处外，RIMCAS 还受到内部延迟的影响。随着巴西航空工业公司 190 的空速减速至 50 节，其多

点定位系统的 GBS 从空中变为地面。然而，MST 将更改目标飞行状态的时间又推迟了 6 秒。在波音 777 减速期间
也观察到了这种延迟，因为 MST 也将波音 777 的飞行状态更改为地面状态延迟了 11 秒。飞机飞行状态变回地面
的延迟原因是 RIMCAS 中设置了“地面速度”参数，该参数比起飞速度低 10 节，或“GBS 正常时的最低起飞速
度”为 50 节。这些值是在与客户完成本地调整和优化过程后，按照 Indra Navia as 的建议设置的。

风险发现

如果确定 RIMCAS 内飞行状态的逻辑延迟数秒，则冲突检测的延迟会增加 RIMCAS 警报无效的风险。

波音 777 拒绝起飞

当波音 777 机组人员发现巴西航空工业公司 190 拒绝起飞并在活动跑道上减速时，他们拒绝了起飞，并大大降低

了跑道入侵的严重程度。这架波音 777 飞机在减速前达到 133 KIAS。当时，波音 777 和巴西航空工业公司 190
相距 5000 英尺，而且距离正在缩小。

现有的防御措施包括技术安全屏障（如无线电的使用以及转发器和 RIMCAS 之间的互操作性）和程序安全屏障

（例如机场操作程序、空中交通管制程序以及航空公司或飞行员操作程序）。

在鸟撞、巴西航空工业公司 190 拒绝起飞和 USiT 之后，许多防御系统都崩溃了，但有一道防线仍然存在：波音

777 机组人员保持的视觉隔离。当波音 777 机组人员自己进行拒绝起飞时，碰撞风险得到了缓解。

查明原因和促成因素

当加速的波音 777 飞机以 133 KIAS 的速度行驶时，发生了碰撞风险，距离减速的巴西航空工业公司 190 飞机约

5000 英尺。波音 777 机组人员在意识到巴西航空工业公司 190 仍在前方跑道上后拒绝起飞，风险得到了缓解。